ISO 27002: 2022 - Kontrolle 5.33 - Schutz von Aufzeichnungen

ISO 27002:2022 Kontrolle 5.33 – Best Practices zum Schutz von Aufzeichnungen

Aufzeichnungen sind ein unklares Konzept, das manche Unternehmen aus Compliance-Gründen nur schwer klassifizieren und verwalten können.

Aufzeichnungen im Sinne der IKT sind ein anderer Begriff für die Daten und Informationen, die eine Organisation speichert und/oder zur Durchführung ihrer täglichen Geschäftsaktivitäten verwendet, einschließlich (aber nicht beschränkt auf):

1. Individuelle Veranstaltungen
2. Transaktionen
3. Arbeits prozess
4. Aktivitäten
5. Funktionen

ISO definiert Aufzeichnungen im Rahmen ihrer Standards als „jede Menge von Informationen, unabhängig von ihrer Struktur oder Form“, einschließlich „einem Dokument, einer Sammlung von Daten oder anderen Arten von Informationen, die im Geschäftsverlauf erstellt, erfasst und verwaltet werden“. “, einschließlich der Metadaten eines Datensatzes.

Zweck der Kontrolle 5.33

Jede Organisation ist verpflichtet, sicherzustellen, dass die von ihr gespeicherten Daten – einschließlich, aber nicht beschränkt auf Personen- und Finanzdaten – geschützt sind Informationen oder Einsatzgebiete – werden sicher und geschützt aufbewahrtund die internen Verfahren entsprechen weiterhin allen geltenden Anforderungen.

Control 5.33 befasst sich mit dem Schutz von Geschäftsunterlagen vor fünf wichtigen Ereignissen:

1. Verlust
2. Zerstörung
3. Fälschung
4. Unbefugter Zugriff
5. Unbefugte Veröffentlichung oder Veröffentlichung

Attributtabelle

Kontrolle 5.33 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch die Erstellung von Richtlinien und Verfahren – einschließlich Aufbewahrungsplänen –, die die gesetzlichen, satzungsmäßigen, behördlichen und vertraglichen Anforderungen einer Organisation in Bezug auf erfüllen Sicherheit und Verfügbarkeit aller Aufzeichnungen, die es besitzt.

Allgemeine Leitlinien zur Kontrolle 5.33

Kontrolle 5.33 erkennt an, dass ein Die Bedürfnisse der Organisation sind fließend wenn es um die Menge und Art der Aufzeichnungen geht, die erforderlich sind, um von einem Tag auf den anderen Geschäfte abzuwickeln.

Daher kategorisiert Control 5.33 die Datensatzverwaltung in vier Hauptattribute:

1. Authentizität
2. Zuverlässigkeit
3. Integrität
4. Benutzerfreundlichkeit

Im Rahmen dieser Attribute fordert Control 5.33 Organisationen dazu auf:

1. Entwerfen und veröffentlichen Sie Richtlinien, die sich mit vier Hauptfunktionen befassen, sowie themenspezifische Richtlinien, die auf die zugrunde liegende Natur der betreffenden Datensätze eingehen:

   a) Plattenspeicher
   b) Datenverarbeitungskette
   c) Entsorgung von Schallplatten
   d) Manipulationen verhindern

2. Führen Sie einen Aufbewahrungsplan für funktionale Aufzeichnungen ein, der klar umreißt, wie lange Aufzeichnungen unterschiedlicher Art in Bezug auf ihre individuelle Geschäftsfunktion aufbewahrt werden sollten.
3. Erstellen Sie Lager- und Handhabungsverfahren, die Folgendes berücksichtigen:

   a) alle geltenden Gesetze, die sich mit der Führung von Geschäftsunterlagen befassen
   b) „Gemeinschafts- und gesellschaftliche“ Erwartungen an den Umgang einer Organisation mit ihren Aufzeichnungen

4. Implementieren Sie Verfahren, die Aufzeichnungen auf sichere und angemessene Weise vernichten, sobald sie nicht mehr benötigt werden (nach Ablauf der Aufbewahrungsfrist).
5. Klassifizieren Sie Datensätze zum Schutz (einschließlich angemessener Aufbewahrungsfristen und verwendeter Speichermedien) basierend auf ihr Sicherheitsrisikound verschiedene Arten, einschließlich (aber nicht beschränkt auf):

   a) Buchführung
   b) Geschäftliche Transaktionen
   c) Persönliche Rekorde
   d) Rechtsakten

6. Stellen Sie sicher, dass alle Speicherverfahren einen akzeptablen Zeitrahmen für den Abruf vorsehen, falls die Organisation gebeten wird, sie von Dritten oder für den internen Gebrauch bereitzustellen.
7. Wenn elektronische Medien zum Speichern von Aufzeichnungen verwendet werden, sollten Sie die Möglichkeit in Betracht ziehen und mindern, dass der Zugriff auf oder das Abrufen von Aufzeichnungen durch technische Änderungen, einschließlich der Aufbewahrung kryptografischer Informationen, behindert wird (siehe Kontrolle 8.24).
8. Halten Sie sich bei der Speicherung oder Handhabung von Aufzeichnungen auf oder über elektronische Medien an die Richtlinien des Herstellers, einschließlich angemessener Berücksichtigung der natürlichen Verschlechterung dieser Medien.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.33 ersetzt 27002:2013-18.1.3 (Schutz von Aufzeichnungen) mit diversen Ergänzungen in Form einzelner Leitlinien und allgemeiner Prozesse, die eingehalten werden müssen.

In der Kontrolle 2022 erkennt die ISO an, wie wichtig es ist, zu definieren, was eine Geschäftsaufzeichnung darstellt. 27002:2022-5.33 enthält zahlreiche Beispiele dafür, was ISO unter einem Datensatz versteht (siehe oben), die in 27002:2013-18.1.3 fehlen.

Control 5.33 lenkt die Aufmerksamkeit einer Organisation auch auf zwei Hauptleitpunkte, die nicht in ihrem Gegenstück aus dem Jahr 2013 enthalten sind (Richtlinien 1 und 2 oben), die wiederum die Grundlage der Aufzeichnungsrichtlinie einer Organisation bilden – insbesondere einen Aufbewahrungsplan, der vorschreibt, wie Es sollten lange Aufzeichnungen über alle medienspezifischen Anforderungen aufbewahrt werden.

Auch im Records Management halten Metadaten erstmals Einzug. 27002:2013-18.1.3 enthält keine Erwähnung davon, während 27002:2022-5.33 es als „wesentlichen Bestandteil“ betrachtet.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Nutzung von ISMS.online kannst Du:

• Implementieren Sie schnell eine Informationssicherheits-Managementsystem (ISMS).
• Pflege- Verwalten Sie die Dokumentation Ihres ISMS.
• Optimieren Sie die Einhaltung aller relevanten Standards.
• Verwalten Sie alle Aspekte der Informationssicherheit, vom Risikomanagement bis zum Sicherheitsbewusstseinstraining.
• Kommunizieren Sie effektiv in Ihrem gesamten Unternehmen mit unserer integrierten Kommunikationsfunktion.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.